第 5 章 使用受管服务帐户访问 AD
Active Directory(AD)Managed Service Accounts(MSA)允许您在 AD 中创建与特定计算机对应的帐户。您可以将 MSA 以特定用户主体的形式连接到 AD 资源,而无需将 RHEL 主机加入到 AD 域中。
5.1. 受管服务帐户的好处
如果要允许 RHEL 主机在没有加入的情况下访问 Active Directory(AD)域,您可以使用 Managed Service Account(MSA)访问该域。MSA 是 AD 中的帐户,对应于一个特定的计算机,作为特定用户主体,可用于连接到 AD 资源。
例如,如果 AD 域 production.example.com
与 lab.example.com
AD 域具有单向信任关系,则适用以下条件:
-
实验
域信任production
域中的用户和主机。 -
生产
域 不信任实验
域中的用户和主机。
这意味着主机加入了 实验
域,如 client.lab.example.com
,无法通过信任从 生产
域访问资源。
如果要为 client.lab.example.com
主机创建一个例外,您可以使用 adcli
实用程序为 production.example.com
域中的 客户端主机
创建 MSA。通过与 MSA 的 Kerberos 主体进行身份验证,您可以从 客户端主机
在 production
域中执行安全 LDAP 搜索。